// 《围棋》作者版权所有。保留所有权利。
// 此源代码的使用受BSD样式
// 许可证的约束，该许可证可以在许可证文件中找到。

// 包ed25519实现了ed25519签名算法。见
// https:
// RFC 8032中定义的“Ed25519”函数兼容。然而，与RFC 8032的公式不同，这个包的私钥
// 表示包含一个公钥后缀，以使使用同一密钥的多个签名
// 操作更高效。这个包引用RFC 
// 8032私钥作为“种子”。
package ed25519

import (
	"bytes"
	"crypto"
	"crypto/ed25519/internal/edwards25519"
	cryptorand "crypto/rand"
	"crypto/sha512"
	"errors"
	"io"
	"strconv"
)

const (
	// PublicKeySize是此包中使用的公钥的大小，以字节为单位。
	PublicKeySize = 32
	// PrivateKeySize是此包中使用的私钥的大小，以字节为单位。
	PrivateKeySize = 64
	// SignatureSize是这个包生成和验证的签名的大小，以字节为单位。
	SignatureSize = 64
	// SeedSize是私钥种子的大小，以字节为单位。这些是RFC 8032使用的私钥表示。
	SeedSize = 32
)

// 公钥是Ed25519公钥的类型。
type PublicKey []byte

// 在PublicKey上实现的任何方法可能也需要在
// PrivateKey上实现，因为后者嵌入了前者并将公开其方法。

// Equal报告pub和x是否具有相同的值。
func (pub PublicKey) Equal(x crypto.PublicKey) bool {
	xx, ok := x.(PublicKey)
	if !ok {
		return false
	}
	return bytes.Equal(pub, xx)
}

// PrivateKey是Ed25519私钥的类型。它实现了加密。签名者。
type PrivateKey []byte

// Public返回priv对应的公钥。
func (priv PrivateKey) Public() crypto.PublicKey {
	publicKey := make([]byte, PublicKeySize)
	copy(publicKey, priv[32:])
	return PublicKey(publicKey)
}

// Equal报告priv和x的值是否相同。
func (priv PrivateKey) Equal(x crypto.PrivateKey) bool {
	xx, ok := x.(PrivateKey)
	if !ok {
		return false
	}
	return bytes.Equal(priv, xx)
}

// Seed返回priv对应的私钥Seed。它是为
// 与RFC 8032的互操作性提供的。RFC 8032的私钥与此包中的种子
// 相对应。
func (priv PrivateKey) Seed() []byte {
	seed := make([]byte, SeedSize)
	copy(seed, priv[:32])
	return seed
}

// Sign使用priv对给定消息进行签名。
// Ed25519对要签名的消息执行两次传递，因此无法处理预哈希消息。因此，选择。HashFunc（）必须将0返回给
// 表示消息未经过哈希处理。这可以通过传递
// 密码来实现。哈希（0）作为选项的值。
func (priv PrivateKey) Sign(rand io.Reader, message []byte, opts crypto.SignerOpts) (signature []byte, err error) {
	if opts.HashFunc() != crypto.Hash(0) {
		return nil, errors.New("ed25519: cannot sign hashed message")
	}

	return Sign(priv, message), nil
}

// GenerateKey使用兰德的熵生成公钥/私钥对。
// 如果rand为零，则加密/rand。将使用读卡器。
func GenerateKey(rand io.Reader) (PublicKey, PrivateKey, error) {
	if rand == nil {
		rand = cryptorand.Reader
	}

	seed := make([]byte, SeedSize)
	if _, err := io.ReadFull(rand, seed); err != nil {
		return nil, nil, err
	}

	privateKey := NewKeyFromSeed(seed)
	publicKey := make([]byte, PublicKeySize)
	copy(publicKey, privateKey[32:])

	return publicKey, privateKey, nil
}

// NewKeyFromSeed根据种子计算私钥。如果
// len（种子）不是种子大小，它会恐慌。此功能用于
// 与RFC 8032的互操作性。RFC 8032的私钥对应于这个
// 包中的种子。
func NewKeyFromSeed(seed []byte) PrivateKey {
	// 概述函数体，以便可以对返回的密钥进行堆栈分配。
	privateKey := make([]byte, PrivateKeySize)
	newKeyFromSeed(privateKey, seed)
	return privateKey
}

func newKeyFromSeed(privateKey, seed []byte) {
	if l := len(seed); l != SeedSize {
		panic("ed25519: bad seed length: " + strconv.Itoa(l))
	}

	h := sha512.Sum512(seed)
	s := edwards25519.NewScalar().SetBytesWithClamping(h[:32])
	A := (&edwards25519.Point{}).ScalarBaseMult(s)

	publicKey := A.Bytes()

	copy(privateKey, seed)
	copy(privateKey[32:], publicKey)
}

// Sign使用privateKey对消息进行签名并返回签名。如果len（privateKey）不是PrivateKeySize，它将
// 恐慌。
func Sign(privateKey PrivateKey, message []byte) []byte {
	// 概述函数体，以便返回的签名可以被
	// 堆栈分配。
	signature := make([]byte, SignatureSize)
	sign(signature, privateKey, message)
	return signature
}

func sign(signature, privateKey, message []byte) {
	if l := len(privateKey); l != PrivateKeySize {
		panic("ed25519: bad private key length: " + strconv.Itoa(l))
	}
	seed, publicKey := privateKey[:SeedSize], privateKey[SeedSize:]

	h := sha512.Sum512(seed)
	s := edwards25519.NewScalar().SetBytesWithClamping(h[:32])
	prefix := h[32:]

	mh := sha512.New()
	mh.Write(prefix)
	mh.Write(message)
	messageDigest := make([]byte, 0, sha512.Size)
	messageDigest = mh.Sum(messageDigest)
	r := edwards25519.NewScalar().SetUniformBytes(messageDigest)

	R := (&edwards25519.Point{}).ScalarBaseMult(r)

	kh := sha512.New()
	kh.Write(R.Bytes())
	kh.Write(publicKey)
	kh.Write(message)
	hramDigest := make([]byte, 0, sha512.Size)
	hramDigest = kh.Sum(hramDigest)
	k := edwards25519.NewScalar().SetUniformBytes(hramDigest)

	S := edwards25519.NewScalar().MultiplyAdd(k, s, r)

	copy(signature[:32], R.Bytes())
	copy(signature[32:], S.Bytes())
}

// 验证通过公钥报告sig是否是消息的有效签名。如果len（publicKey）不是PublicKeySize，它将崩溃。
func Verify(publicKey PublicKey, message, sig []byte) bool {
	if l := len(publicKey); l != PublicKeySize {
		panic("ed25519: bad public key length: " + strconv.Itoa(l))
	}

	if len(sig) != SignatureSize || sig[63]&224 != 0 {
		return false
	}

	A, err := (&edwards25519.Point{}).SetBytes(publicKey)
	if err != nil {
		return false
	}

	kh := sha512.New()
	kh.Write(sig[:32])
	kh.Write(publicKey)
	kh.Write(message)
	hramDigest := make([]byte, 0, sha512.Size)
	hramDigest = kh.Sum(hramDigest)
	k := edwards25519.NewScalar().SetUniformBytes(hramDigest)

	S, err := edwards25519.NewScalar().SetCanonicalBytes(sig[32:])
	if err != nil {
		return false
	}

	// /[S]B=R+[k]A-->[k]（-A）+[S]B=R 
	minusA := (&edwards25519.Point{}).Negate(A)
	R := (&edwards25519.Point{}).VarTimeDoubleScalarBaseMult(k, minusA, S)

	return bytes.Equal(sig[:32], R.Bytes())
}
